Para recuperar un WordPress hackeado hay que seguir un orden: aislar el sitio, encontrar y cerrar la puerta de entrada, limpiar archivos y base de datos, eliminar del índice las URLs de spam y, si Google marcó el sitio, pedir la revisión desde el informe de problemas de seguridad de Search Console. Limpiar sin cerrar la puerta de entrada casi siempre termina en un nuevo hackeo.
Señales típicas
- URLs nuevas en Google con títulos en otros idiomas o de productos que el cliente no vende.
- Avisos de «Este sitio puede haber sido hackeado» en los resultados.
- Redirecciones a otros sitios solo desde el móvil o desde Google.
- Usuarios administradores desconocidos.
- Picos de URLs en el informe de Páginas.
Pasos de limpieza
- Copia completa del estado actual (archivos y base de datos) antes de tocar nada.
- Cambio de todas las contraseñas: WordPress, hosting, FTP, base de datos.
- Revisión de usuarios administradores y eliminación de los desconocidos.
- Reinstalación limpia del núcleo, tema y plugins desde fuentes oficiales.
- Búsqueda de código inyectado en archivos y en la base de datos.
- Actualización o eliminación del plugin o tema vulnerable que fue la puerta de entrada.
Recuperar el índice
Las URLs de spam deben devolver 404 o 410, no redirigir a la home. Revisa el sitemap y sácalas si se agregaron. En Search Console, usa la herramienta de retirada temporal para las más visibles mientras Google las reprocesa. Si hay una acción manual o un aviso de seguridad, solicita la revisión explicando qué se hizo. Con el sitio limpio, el índice se normaliza en semanas.
Cómo evitar que se repita
- Actualizaciones regulares con copia de seguridad previa.
- Plugins y temas solo de fuentes confiables y con soporte activo.
- Verificación en dos pasos para administradores.
- Limitar intentos de acceso y desactivar el editor de archivos del panel.
- Un firewall de aplicación (por ejemplo, en la CDN).
Para el cliente, lo explicamos en por qué es necesario el mantenimiento de WordPress.
¿Cómo puede ayudarte RankPro con esto?
RankPro limpia WordPress hackeados de clientes de agencias, cierra la vulnerabilidad, recupera el índice en Search Console y deja un informe del incidente con tu marca.
Preguntas frecuentes
¿Cuánto tarda Google en quitar el aviso?
Después de la revisión, suele tardar días; el índice tarda más en normalizarse.
¿Restaurar una copia de seguridad basta?
Solo si la copia es anterior al hackeo y se cierra la vulnerabilidad.
¿El hackeo hunde las posiciones?
Puede afectarlas temporalmente; se recuperan tras limpiar y reprocesar.